Nadie se da cuenta el día que entran. Se da cuenta el día que algo deja de cuadrar.
No empieza con una pantalla negra. Empieza con un correo de su proveedor de siempre pidiendo cambiar el número de cuenta, o con un usuario que lleva un año sin dueño. Para cuando se nota, llevaban semanas adentro.
Y lo primero que le vamos a decir es cómo está, no qué comprar. Nadie debería gastar en seguridad antes de saber dónde está su riesgo. Y en esta página no va a encontrar un solo porcentaje: va a encontrar lo que pasa y en qué orden se arregla.
Lo que de verdad pasa
Cuando entran no suena ninguna alarma. Lo primero que usted nota es que algo dejó de cuadrar.
Empiezan un martes cualquiera, y lo que los une es que para cuando se notan ya llevaban semanas dentro.
El correo que pidió cambiar el número de cuenta
Escribe diciendo que cambió de banco, con la misma firma y el mismo tono. Alguien paga. Nadie rompió nada: leyeron su correo durante semanas y esperaron la factura grande.
El lunes en que ningún archivo abre
Están ahí, con otro nombre, y piden un pago para devolverlos. Lo que decide cómo acaba ese lunes no es el antivirus: es si las copias sirven. Y la pregunta no es si hay copias — es cuándo se restauró la última.
Su página se ve bien, y a Google le está mostrando otra cosa
Lo hemos encontrado y lo hemos limpiado: una página que a las personas les contesta normal y a los buscadores les entrega publicidad ajena. Quien vigila que el sitio esté arriba lo ve arriba, y se nota meses después — cuando el buscador deja de mandarle clientes.
El empleado que se fue hace un año y su usuario sigue vivo
Se le quitó el computador y se le pidió el carné. El correo y la carpeta compartida nunca se cerraron. No hace falta un ataque: hace falta que alguien se acuerde de esa contraseña.
Después del susto
Y cuando pasa el susto empieza lo que no se arregla comprando un equipo.
Un incidente no termina cuando los sistemas vuelven, sino cuando usted contesta estas preguntas — y todas se contestan con lo que haya guardado ANTES.
Tiene que avisarle a la autoridad y a los afectados
Si lo filtrado son datos de personas —clientes, pacientes, empleados—, la Ley 1581 de 2012 lo hace responsable de su custodia, y responder exige saber de quién era cada dato. Las sanciones de la Superintendencia de Industria y Comercio llegan hasta dos mil salarios mínimos.
Es un delito, y un delito hay que poder probarlo
La Ley 1273 de 2009 convirtió en delito el acceso abusivo a un sistema. Eso significa que hay denuncia — y que la denuncia vale lo que valga la evidencia. Si nadie guardó quién entró y qué miró, no hay nada que entregar.
Sus clientes se lo van a preguntar por escrito
Van a querer saber qué datos suyos estaban ahí y qué hizo usted para que no se repita. Eso se contesta con registros, no con buenas intenciones.
Y los días que la empresa no factura no se recuperan
Mientras los sistemas no vuelven, no se despacha ni se cobra. Es el costo del que nadie habla porque no llega en una factura, y suele ser el más grande.
Cuatro frentes, cuatro oficios
Su riesgo no está en un solo sitio, y cada sitio se revisa distinto.
Su página y sus aplicativos
Lo que usted publicó en internet es lo único que cualquiera puede probar sin permiso
- Si permite entrar a datos de otro cliente cambiando un número en la dirección
- Si la página está limpia, o sirviendo publicidad ajena sin que se note
- Si las piezas con las que está construida tienen fallas conocidas y sin corregir
Los equipos y el software de escritorio
El puesto de trabajo es por donde entra casi todo, y es el que menos se mira
- Qué computadores siguen con un sistema que ya nadie corrige
- Si el antivirus está instalado, pagado y realmente encendido — no es lo mismo
- Si el disco está cifrado, para que un portátil perdido sea un gasto y no una filtración
La red y su infraestructura
Si todo está en la misma red, un solo equipo infectado llega a todas partes
- Si está dividida en zonas, o el computador de recepción alcanza la contabilidad
- Quién entra desde fuera de la oficina, y si esa entrada sigue abierta para quien ya no trabaja aquí
- Qué está publicado hacia internet sin que nadie lo haya decidido
Su información
La pregunta que decide todo: ¿dónde están sus datos y quién puede verlos?
- Cuándo se restauró una copia por última vez — si la respuesta es «nunca», no hay copia, hay un archivo
- Quién tiene acceso a qué, y si alguien revisa esa lista cuando la gente entra, cambia de cargo o se va
- Si guarda datos de personas, qué pide la Ley 1581 de 2012 que usted tenga y hoy no tiene
Cómo trabajamos
Primero saber, después decidir, después hacer.
1 · Evaluación
Empezamos por saber cómo está hoy. No se puede proteger lo que no se ha mirado.
2 · La solución
Los hallazgos con su evidencia y un plan en orden: primero lo que lo deja expuesto hoy, después lo que puede esperar. Con lo que cuesta cada cosa, para que usted decida hasta dónde llegar.
3 · Implementación
Lo ejecutamos nosotros. La ventaja de que su proveedor de equipos, de red y de soporte sea el mismo que evaluó: no hay que explicarle a nadie cómo está armada su empresa.
Lo que no hacemos
Tres cosas que no va a encontrar aquí, y una se puede comprobar ahora mismo.
No le vendemos miedo: le entregamos hallazgos con evidencia
Cada cosa que le digamos viene con cómo se comprobó. Y lo que no pudimos comprobar se lo decimos también, en vez de dejarlo en la lista para que parezca más larga.
No publicamos el nombre de nuestros clientes, y por eso no verá ninguno aquí
La lista de quién depende de nosotros es un mapa de objetivos, y el guion de una suplantación que no necesita ninguna falla técnica: basta llamar diciendo «le habla soporte de ITNETGROUP». Si alguien le muestra su cartera de clientes para convencerlo, fíjese en lo que eso dice de cómo va a cuidar la suya.
No tocamos nada sin autorización escrita
Probar la seguridad de un sistema sin permiso por escrito es delito en Colombia — la misma Ley 1273 que lo protege a usted. El alcance se firma antes: qué se revisa, hasta dónde se llega y qué no se toca.
Preguntas
Lo que pregunta quien está a punto de contratarlo.
- ¿Van a entrar a mis sistemas?
- Solo hasta donde usted autorice por escrito, y se acuerda antes de empezar. Hay revisiones que se hacen desde fuera sin tocar nada y otras que necesitan acceso; le decimos cuál es cuál.
- ¿Esto para una empresa de quince personas no es demasiado?
- Al contrario: lo de arriba no le pasa a las empresas grandes, que tienen equipo propio. Le pasa a las de quince y cincuenta personas, donde el que sabe de computadores es el que mejor se lleva con ellos. Cambia el tamaño del plan, no la necesidad.
- Ya tengo antivirus y el filtro entre mi red e internet. ¿Para qué otra cosa?
- Porque ninguno de los dos detiene el correo que pide cambiar un número de cuenta, ni el usuario del que ya se fue, ni la copia que nunca se restauró. Y porque tenerlos instalados no es tenerlos funcionando: parte de lo que revisamos es justo eso.
¿Cuándo fue la última vez que alguien miró si su empresa está expuesta?
Si la respuesta es «nunca» o «no sé», eso ya es un hallazgo.